2026년 의료기기 및 의료기술 부문에서는 여러 기업이 정보기술 시스템과 운영에 영향을 미치거나 직원 및 환자 데이터가 무단으로 접근될 수 있었던 침해 사고를 발표하면서 사이버 공격이 점점 증가했다. 해당 기업 목록에는 Stryker, Intuitive Surgical, Medtronic, Abbott, iRhythm, AdaptHealth, Cook Medical, Baylor Genetics, UFP Technologies가 포함된다.
Stryker는 운영에 가장 큰 영향을 받은 사례 중 하나로 부각된다. 공격은 3월 11일 회사의 글로벌 Microsoft 환경을 겨냥했으며, 이로 인해 주문 처리, 제조 및 배송 시스템이 수주 동안 중단됐다. 회사는 3월 17일 시스템을 다시 가동하기 시작했고, 3월 27일 대부분의 제조 operations를 복구했으며, 4월 10일에는 완전한 운영 상태로 돌아왔다고 발표하면서 1분기 실적에 중대한 재정적 영향이 있을 수 있다고 경고했다. 5월에는 최고경영자 Kevin Lobo가 이번 공격이 분기 실적에 큰 영향을 미쳤다고 밝혔지만, 회사는 연간 전망을 유지했다. 7월 31일 기준 Stryker는 여전히 주문 적체를 처리하고 Inari Medical과 관련된 공급 차질에 대응하고 있었으며, 7월에는 회복을 계속하고 있다고 밝혔다.
데이터 유출과 제3자를 통한 침해
Stryker 사고가 발생한 지 며칠 후, Intuitive Surgical은 피싱 사고를 당해 무단 당사자가 고객과 관련된 사업 정보 및 통신 자료와 직원 및 회사 데이터를 열람할 수 있었다고 발표했다. Medtronic도 4월 27일 기업 정보기술 시스템의 데이터 침해가 발생했다고 밝혔고, 7월 2일부터 영향을 받은 사람들에게 통지하기 시작했다. 회사는 접근된 데이터가 온라인에 공개됐다는 증거가 없으며, 사업이나 재무 실적에 중대한 영향을 예상하지 않는다고 확인했다.
Abbott은 Exact Sciences를 210억 달러에 인수하기로 한 거래 이후인 7월 17일 자사의 암 진단 사업이 사이버 공격을 받았다고 발표했지만, 어떤 유형의 정보에 접근했는지는 밝히지 않았다. AdaptHealth는 7월 7일 공격자가 사회공학 공격을 통해 시스템에 접근한 뒤 환자 데이터가 도난당했다고 밝혔다. 6월 16일에는 iRhythm이 제3자 기관에 속한 애플리케이션에서 데이터가 도난당했다고 공개했으며, 공격자가 도난한 데이터를 공개하지 않는 대가로 금전을 요구했다고 밝혔다.
최근 공개된 내용
Baylor Genetics와 Cook Medical은 8월에 사고를 공개한 가장 최근의 두 기업이었다. Baylor Genetics는 제3자가 직원 및 환자 정보에 접근했을 가능성이 있으며, 여기에는 검사 결과, 사회보장번호, 금융 계정 정보가 포함된다고 밝혔다. Cook Medical의 경우 사고는 외부 기관이 회사의 일부 시스템에 접근할 수 있게 한 사기 행위로 인해 발생했지만, 회사는 민감하거나 보호되는 데이터가 취득됐다는 증거를 발견하지 못했으며 운영은 정상적으로 이루어지고 있다고 밝혔다.
UFP Technologies도 2월 회사 데이터에 영향을 미친 공격을 조사했으며, 중대한 영향은 예상하지 않지만 단기적인 배송 지연이 발생할 수 있다고 경고했다. 이러한 사례는 영향이 데이터 기밀성에만 국한되지 않는다는 점을 보여준다. Stryker의 경우 제조, 주문 및 배송까지 영향이 확대됐고, 다른 기업들은 피해를 입은 사람들에게 통지하고 노출됐을 가능성이 있는 데이터를 평가해야 하는 상황에 놓였다.
이 연속적인 사건이 중요한 이유
이번 일련의 사건이 모든 사고가 동일한 방식을 따랐다는 증거를 제시하는 것은 아니다. 사례에는 피싱, 사회공학, 기업 시스템 침해, 제3자를 통한 잠재적 접근이 포함됐다. 그러나 이 사건들은 제조, 유통 및 의료 데이터를 관리하기 위해 상호 연결된 시스템에 의존하는 기업들이 속한 의료기기 부문에서 위험의 범위가 확대되고 있음을 보여준다. 일부 사고의 영향은 여전히 평가 중이므로, 영향을 받은 정보의 규모와 운영 및 재무상의 파급 효과는 기업마다 다르다.